PlanFlip：多代理 LLM 系統的規劃階段提示詞注入攻擊

研究人員針對多代理 LLM 系統提出 PlanFlip 框架，指出系統依賴 Planner 將目標分解為子任務序列，再由下游的 Executor 與 Critic 代理執行與審計。研究發現規劃階段是關鍵攻擊面，攻擊者只需在 Planner 的上下文中插入單次惡意提示詞，即可造成級聯放大效應，同時破壞所有下游子任務。

PlanFlip 框架包含四種規劃階段的提示詞注入攻擊方式，分別為 GoalSubstitution (PF-1)、PriorityInversion (PF-2)、ContextPollution (PF-3) 以及 RoleConfusion (PF-4)。這些攻擊手法偽裝成合理的工具輸出，旨在規避關鍵字過濾器的偵測。研究團隊在 3,479 個回合的測試中，評估了九個前沿 LLM 的表現。

測試結果顯示能力會放大脆弱性，其中 GPT-5 達到了最高的攻擊成功率 (ASR = 0.68)，這 contradict 了「較強的模型本質上更安全」的假設。此外，研究發現同質化管道存在相關代理的盲點，並指出 GPT-4o 在該情境下的表現。